Regolamentazione dell'IA: cosa cambia all'inizio di agosto.

Sebbene il regolamento europeo sull'intelligenza artificiale (IA) sia entrato in vigore il 1° agosto 2024, ci troviamo in una fase cruciale della sua attuazione.

Un utile promemoria sulla tempistica di applicazione delle disposizioni del regolamento, che tiene conto delle recenti modifiche apportate dalla "Convenzione omnibus digitale", è disponibile sul sito web della Commissione europea.

• Le disposizioni generali del regolamento (definizioni e cultura dell'IA) e il divieto di sistemi di IA che presentino rischi inaccettabili sono in vigore dal 2 febbraio 2025.
• Dal 2 agosto, la maggior parte delle disposizioni è entrata in vigore: le norme sulla trasparenza e le misure a sostegno dell'innovazione sono ora applicabili ed è possibile monitorare l'attuazione dei modelli di intelligenza artificiale di uso generale, dei divieti, delle norme sulla trasparenza e della cultura dell'IA. L'Ufficio per l'IA della Commissione europea, in collaborazione con le autorità nazionali, sarà responsabile di tale monitoraggio.
• A partire dal 2 dicembre, i sistemi di intelligenza artificiale che generano "deepfake" sessuali non consensuali e materiale pedopornografico saranno regolamentati, mentre dalla fine del 2027 e dalla metà del 2028 saranno regolamentati anche i sistemi di intelligenza artificiale ad alto rischio inclusi rispettivamente nell'Allegato III (settori sensibili come l'occupazione e le forze dell'ordine) e nell'Allegato I (prodotti come i dispositivi medici).

Più nello specifico, dall'estate scorsa le nuove norme sulla trasparenza di cui all'articolo 50 impongono a determinati sistemi di intelligenza artificiale, come i chatbot, di informare gli utenti quando interagiscono con l'IA e quando il contenuto è stato generato o modificato da essa.

Inoltre, i fornitori di contenuti modificati o generati utilizzando l'intelligenza artificiale dovranno essere identificati come tali.

Questo contenuto deve inoltre contenere marcatori leggibili automaticamente per essere rilevato più facilmente.

Sono state previste alcune eccezioni in ambito penale, nonché per i testi il cui contenuto è controllato da un essere umano, e sono stati stabiliti degli adattamenti per le creazioni artistiche.

La Commissione ha inoltre proposto tre icone per identificare i contenuti generati interamente o parzialmente utilizzando l'intelligenza artificiale.

Per aiutare le imprese a conformarsi a tali obblighi, la Commissione europea ha pubblicato il 20 luglio delle linee guida che chiariscono chi è interessato da queste norme e quali contenuti devono essere divulgati.

Un "codice di buone pratiche sulla trasparenza dei contenuti generati dall'IA", già sottoscritto da oltre 180 organizzazioni tra cui OpenAI e Google, mira ad aiutare le aziende a dimostrare la propria conformità al Regolamento.

Chi è in Francia responsabile dell'attuazione e del monitoraggio del rispetto del regolamento?

La supervisione è distribuita tra numerosi enti, sotto la guida della DGE e della DGCCRF, che sovrintenderanno agli obblighi generali in materia di informazione e tracciabilità.

• La CNIL svolge un ruolo centrale nei sistemi di intelligenza artificiale che implicano il trattamento di dati personali, inclusi dati sensibili e biometrici. L'autorità offre guide pratiche e uno strumento di autovalutazione per aiutare le aziende a verificare la conformità ai requisiti di legge e fornisce consulenza alle PMI e alle microimprese.
• ARCOM interviene sui contenuti digitali e audiovisivi, compresi i "deepfake".
• L'ANSSI interverrà sugli aspetti di sicurezza informatica.
• L'HAS sarà competente per i sistemi di intelligenza artificiale utilizzati in campo medico.

Questa costellazione di responsabilità, che inevitabilmente porterà a sovrapposizioni, richiede una maggiore cooperazione tra le parti interessate. La DGCCRF svolge il ruolo di punto di contatto unico a livello operativo.

I rischi in caso di reato possono essere significativi.

Le sanzioni variano in base al livello di rischio: fino a 35 milioni di euro o 71.000 miliardi di euro di fatturato globale per l'IA vietata, 15 milioni di euro o 31.000 miliardi di euro per l'IA non conforme ad alto rischio e 7,5 milioni di euro o 11.000 miliardi di euro per mancanza di trasparenza.

Per le PMI e le microimprese, le sanzioni sono limitate al valore inferiore tra la soglia assoluta e la percentuale di fatturato.

La normativa si applica in modo modulato a ciascun sistema di intelligenza artificiale utilizzato da un'organizzazione, e non all'organizzazione nel suo complesso.

Si raccomanda pertanto di mappare tutti i sistemi utilizzati (compresi l'IA di terze parti e il subappalto) e di valutarne il livello di rischio al fine di adeguare la conformità.

In Francia

La Francia è il primo Paese europeo ad adottare una legge che vieta l'accesso ai social network ai minori di 15 anni.

Il testo di compromesso adottato dal parlamento il 21 luglio impone ai fornitori di servizi l'obbligo di implementare un sistema affidabile di verifica dell'età, senza tuttavia imporne un meccanismo specifico.

A partire dal 1° settembre 2026, i minori di quindici anni non potranno più creare nuovi account su queste piattaforme.

Per gli account esistenti, il divieto entrerà in vigore dopo un periodo di quattro mesi, ovvero a partire dal 1° gennaio 2027. ARCOM sarà responsabile di garantire il rispetto di tale divieto.

Si noti che il testo solleva questioni di proporzionalità poiché richiede a tutti gli utenti dei social network di dimostrare la propria età, e l'efficacia del meccanismo è messa in discussione dai suoi detrattori che citano i risultati contrastanti ottenuti dall'Australia in questo ambito.

Il Consiglio costituzionale è stato incaricato di rivedere il testo da due gruppi di parlamentari. Inoltre, la Commissione europea intende presentare una proposta in merito questo autunno, dando priorità ai meccanismi di verifica dell'età che tutelino l'anonimato.

A partire dall'11 agosto e in virtù di un decreto del 23 luglio, a differenza del sistema Bloctel che richiede un'esplicita opposizione, le chiamate commerciali telefoniche saranno vietate in linea di principio per le aziende di tutti i settori di attività, salvo in circostanze eccezionali:

• Quando la chiamata si riferisce a un contratto concluso con l'azienda al fine di offrire, ad esempio, prodotti o servizi complementari, oppure un'offerta volta a migliorare il servizio fornito o le sue prestazioni.
• Qualora l'azienda in questione abbia ottenuto un consenso preventivo per essere contattata a fini di marketing, tale consenso deve essere stato espresso "liberamente", "informatamente" e "mediante un'azione affermativa inequivocabile".

La mancata osservanza delle norme espone le aziende a sanzioni pecuniarie fino a 375.000 euro per le persone giuridiche, nonché alla nullità dei contratti conclusi a seguito di sollecitazioni irregolari.

Lo scorso aprile, la CNIL ha assunto una posizione ferma in merito ai pixel di tracciamento nelle e-mail, concedendo alle aziende tre mesi di tempo per conformarsi alle disposizioni di legge a tutela delle comunicazioni elettroniche.

Da allora, numerose email sono arrivate nelle caselle di posta di tutti, richiedendo il consenso per tracciare l'apertura della posta. Il 22 luglio, la CNIL (Autorità francese per la protezione dei dati) ha pubblicato una serie di domande e risposte per chiarire le condizioni per l'attuazione della sua raccomandazione.

La CNIL e il CIANum (Consiglio per l'IA e il Digitale) hanno condotto una riflessione congiunta e pubblicato una nota esplorativa sulle problematiche sollevate dall'IA agentiva per la protezione dei dati personali.

Questo lavoro fa eco alle discussioni intraprese su questo tema dalla CNIL con le sue controparti internazionali, in particolare nell'ambito del G7 delle autorità di protezione dei dati.

Il documento rileva un cambiamento di portata nell'utilizzo dell'IA, che si sta diffondendo sempre di più, e solleva interrogativi sulla responsabilità e sulla perdita di controllo sui dati personali. Sebbene l'attuale quadro giuridico si applichi a questi sistemi, la CNIL evidenzia la difficoltà di adattare le modalità di attuazione.

All'inizio di luglio, Doctolib ha annunciato via email ai suoi 60 milioni di utenti che, a partire da agosto e salvo obiezioni, avrebbe utilizzato alcuni dei loro dati sanitari per addestrare e migliorare i propri strumenti di intelligenza artificiale, nell'ambito di progetti di ricerca in collaborazione con Inria, Inserm e l'Université Paris Cité.

L'azienda dichiara che i dati in questione sono pseudonimizzati e che il loro utilizzo è regolato dalle norme della CNIL.

Questo progetto di ricerca ha generato diverse reazioni, tra cui quella della Lega per i Diritti Umani, che in un comunicato stampa del 16 luglio critica l'iscrizione predefinita degli utenti al progetto e il fatto che venga condotto da una società privata (i cui dati sono archiviati da una società soggetta alla legge statunitense) anziché da un ente pubblico.

In Europa

istituzioni e organismi europei

Il Parlamento europeo ha votato il 9 luglio sull'estensione del programma "Chat Control 1.0", che consente alle aziende digitali di analizzare volontariamente i messaggi privati, senza alcun obbligo.

Questa "deroga temporanea" alle norme relative alla privacy e alle comunicazioni elettroniche, volta a individuare gli abusi sessuali online sui minori, rimarrebbe in vigore fino al 3 aprile 2028.

Questo testo, respinto a marzo dal parlamento, era stato reinserito all'ordine del giorno durante la seconda lettura, in cui il rigetto della proposta richiede la maggioranza assoluta di tutti i membri.

Nel frattempo, i legislatori stanno negoziando un quadro normativo aggiornato, "Chat Control 2.0", che potrebbe consentire l'accesso al contenuto delle comunicazioni crittografate, un progetto considerato da oltre 800 ricercatori di sicurezza informatica come una minaccia alla crittografia e alla riservatezza delle comunicazioni.

Il 7 luglio, la Commissione europea ha presentato un piano d'azione sulla sicurezza informatica e l'intelligenza artificiale volto a "promuovere un uso sicuro e responsabile dell'IA, rafforzando al contempo la sicurezza informatica dell'Europa".

Il piano d'azione integra il quadro giuridico UE esistente in materia di intelligenza artificiale e sicurezza informatica, tra cui il Regolamento sull'IA, il Regolamento sulla resilienza cibernetica, la Direttiva NIS2, il Regolamento sulla resilienza operativa digitale (DORA) e il Regolamento sulla solidarietà cibernetica.

Il 23 luglio, la Commissione europea ha emesso due decisioni in cui ha constatato che Google aveva violato il Regolamento sui mercati digitali (DMA) favorendo i propri servizi su Google Ricerca e imponendo restrizioni alle aziende per impedire loro di indirizzare gli utenti di Google Play verso altri canali di acquisto, spesso più economici. Ha inflitto a Google una multa rispettivamente di 460 milioni e 430 milioni di euro.

L'8 luglio, il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato nuove linee guida volte a chiarire l'applicazione del GDPR a due questioni principali:

• Anonimizzazione dei dati
• Il web scraping nel contesto dell'intelligenza artificiale generativa.

Per quanto riguarda l'anonimizzazione, il comitato specifica che i dati possono essere considerati veramente anonimi solo se non esiste alcuna possibilità ragionevole di reidentificazione, sulla base in particolare di tre criteri: l'assenza di isolamento, collegamento e deduzione.

Le linee guida tengono conto in particolare della sentenza pronunciata dalla Corte di giustizia dell'Unione europea nella causa C-413/23 P, EDPB contro SRB, del 4 settembre 2025.

Per quanto riguarda il web scraping, l'EDPB sottolinea che la raccolta automatizzata di dati personali per addestrare modelli di intelligenza artificiale rimane soggetta al GDPR, in particolare ai requisiti di base giuridica, trasparenza e limitazione delle finalità.

Queste due bozze di linee guida sono aperte alla consultazione pubblica fino al 30 ottobre 2026. Inoltre, le linee guida sulla blockchain sono state adottate nella loro versione definitiva.

Il 31 luglio 2026, l'EDPB ha inoltre inviato una lettera alla Commissione europea chiedendo di valutare se la sentenza della Corte Suprema degli Stati Uniti nel caso Trump contro Slaughter potesse incidere sulla validità del quadro normativo UE-USA in materia di protezione dei dati.

Il 16 luglio la Corte di giustizia dell'Unione europea (CGUE) ha stabilito che le e-mail professionali costituiscono comunicazioni tutelate dagli articoli 7 e 8 della Carta dei diritti fondamentali dell'Unione europea, ma che possono essere sequestrate da un'autorità garante della concorrenza nell'ambito di un'indagine senza previa autorizzazione giudiziaria, a condizione che siano in vigore un quadro giuridico rigoroso e adeguate garanzie contro abusi e arbitrarietà (cause riunite C-258/23 a C-260/23).

Nella sentenza del 14 luglio (C 474/24 – NADA Austria e altri), ha ritenuto che la pubblicazione dei nomi degli atleti professionisti che avevano violato le norme antidoping potesse essere lecita.

Tuttavia, l'ente responsabile della pubblicazione deve essere in grado di bilanciare gli interessi contrapposti al fine di rispettare il principio di proporzionalità. Ha inoltre riconosciuto la possibilità di presentare un reclamo a titolo preventivo.

La Corte di giustizia dell'Unione europea ha infine stabilito, con sentenza del 9 luglio (C-199/24 ND contro Legal Newsdesk Sweden AB), che la pubblicazione di informazioni relative a condanne penali in banche dati accessibili al pubblico non costituisce attività giornalistica e non può beneficiare di un'esenzione ai sensi del GDPR in virtù delle leggi nazionali di recepimento dell'articolo 85(2).

Notizie dai paesi membri dell'Unione europea.

In Austria, dopo sette anni di procedimento, la Corte amministrativa suprema ha confermato la multa di 13 milioni di euro inflitta alle Poste austriache.

L'azienda aveva raccolto dati sulle affinità politiche di oltre due milioni di persone e aveva venduto queste informazioni a società terze per scopi di marketing diretto.

Sebbene la società avesse argomentato in buona fede e citato i pareri di consulenti che avevano convalidato le sue pratiche, la Corte Suprema ha respinto tali argomentazioni, affermando che "non è necessaria alcuna azione o conoscenza da parte degli organi di governo affinché un'entità giuridica venga sanzionata". La Corte ha inoltre stabilito che i pareri legali "indifendibili" non dovrebbero essere considerati una circostanza attenuante, né tantomeno un fattore esonerante.

Il 14 luglio, il Comitato europeo per la protezione dei dati (EDPB) ha emesso una decisione che imponeva all'Autorità belga per la protezione dei dati (APD) di esaminare il reclamo presentato dall'ONG Noyb, reclamo che l'APD aveva ritenuto inammissibile. Con una decisione vincolante, il Comitato ha esaminato se il reclamo dovesse essere respinto per violazione dei diritti e ha confermato che l'obbligo imposto a un ente, un'organizzazione o un'associazione senza scopo di lucro di presentare un reclamo per conto di un reclamante è conforme al GDPR.

L'Autorità spagnola per la protezione dei dati (APD) ha multato un'azienda di genomica e biotecnologia per 2,4 milioni di euro per non aver protetto adeguatamente i dati genetici e sanitari e per aver segnalato una violazione dei dati personali all'autorità di protezione dei dati oltre il termine di 72 ore.

L'APD ha inoltre multato Vodafone per 1.050.000 euro per misure di protezione dei dati insufficienti.

L'Autorità Garante per la Protezione dei Dati Personali (APD) ha multato un fornitore di energia per 5,8 milioni di euro per non aver divulgato i rating di credito né spiegato le modalità di calcolo degli stessi, per aver condiviso illegalmente dati relativi al debito all'interno del proprio gruppo, per aver conservato i dati di credito per dieci anni senza una giustificazione sufficiente e per averli riutilizzati per scopi incompatibili.

L'Autorità Garante per la protezione dei dati personali ha inflitto una multa di 2 milioni di euro a Lusha Systems Inc., società statunitense di intermediazione dati che, tramite la sua piattaforma, fornisce a pagamento informazioni "arricchite" sugli individui, come la loro situazione professionale, gli indirizzi email e i numeri di telefono.

Lusha raccoglie questi dati da diverse fonti (estrazione di dati dai social network, acquisti da altri data broker, ecc.) e li mette a disposizione dei suoi clienti per scopi commerciali o per contrastare le frodi.

L'azienda effettua anche aggiornamenti che prevedono il monitoraggio online del comportamento degli interessati, attività che rientra nell'ambito di applicazione del GDPR. Il Garante per la protezione dei dati personali (APD) ha vietato il trattamento dei dati relativi a persone fisiche residenti in Italia e ne ha ordinato la cancellazione.

L'APD ha inoltre sanzionato l'operatore di telecomunicazioni TIM per numerose violazioni delle normative in materia di privacy e telemarketing.

Diversi call center dell'azienda, operando come subappaltatori, hanno effettuato chiamate promozionali per conto della società, utilizzando numeri non appartenenti alla rete di vendita ufficiale, al fine di raccogliere illegalmente dati degli utenti.

L'autorità precisa che l'adesione a un codice di condotta non esonera il responsabile del trattamento dall'obbligo di monitorare le attività dei propri subappaltatori e di verificare l'effettiva applicazione delle misure di protezione dei dati lungo tutta la filiera del telemarketing.

A livello internazionale

In Canada, una proposta di legge del 15 giugno mira a revocare i poteri del Data Protection Authority (DPA) in materia di monitoraggio del settore privato e a creare un unico organismo responsabile della regolamentazione dei danni online, dei social network, dei chatbot basati sull'intelligenza artificiale e della tutela della privacy nel settore privato.

Negli Stati Uniti, la sezione 702 del Foreign Intelligence Surveillance Act (FISA) è scaduta a giugno.

Dal 2008, questa disposizione ha consentito alle agenzie di intelligence statunitensi di intercettare le comunicazioni di cittadini stranieri al di fuori degli Stati Uniti senza mandato.

Da diversi anni, un numero crescente di parlamentari aveva subordinato il rinnovo dell'articolo 702 al requisito di un mandato obbligatorio. Finalmente hanno ottenuto i voti necessari per far sentire la propria voce.

Tuttavia, le autorizzazioni del Tribunale per la sorveglianza dell'intelligence estera (FISC), rinnovate a marzo per il programma previsto dalla Sezione 702, restano in vigore e "continueranno ad essere applicate senza modifiche, almeno fino al 17 marzo 2027", secondo quanto affermato dal deputato Jamie Raskin.

Alcuni operatori hanno avvertito in via confidenziale che cesseranno di collaborare non appena la legge scadrà, temendo responsabilità legali in assenza di una legge che supporti le richieste del governo.

Le agenzie di intelligence e le compagnie di telecomunicazioni si trovano quindi ad affrontare l'incertezza riguardo a quali attività di raccolta dati possano legalmente proseguire.

Anche negli Stati Uniti, l'accordo amichevole raggiunto con la società 23andMe in seguito all'attacco informatico del 2023, che ha colpito circa 6,4 milioni di clienti, è stato definitivamente approvato da un tribunale statunitense.

Tuttavia, a causa della procedura fallimentare dell'azienda, non è ancora stato corrisposto alcun risarcimento alle vittime americane i cui dati genetici sono stati compromessi.

Il fondo di risarcimento ammonta a 46,75 milioni di dollari, ma la maggior parte dei beneficiari riceverà solo un risarcimento limitato, con gli importi più elevati riservati alle vittime che potranno dimostrare di aver subito danni significativi.

La "Dichiarazione di Roma per una pace senza armi e basata sul disarmo nell'era dell'intelligenza artificiale, delle armi nucleari e autonome, dei nuovi protocolli digitali e dei modelli emergenti di sviluppo digitale" è stata firmata giovedì 16 luglio sul Campidoglio a Roma, a conclusione dell'Assemblea mondiale dei premi Nobel per l'intelligenza artificiale e la guerra nucleare.